Se han descubierto varias vulnerabilidades peligrosas recientemente que permiten obtener acceso root al sistema o lograr la ejecución remota de código.
- 7 vulnerabilidades en el sistema de gestión de contenedores LXD y 11 vulnerabilidades en el fork Incus. Varias vulnerabilidades marcadas como críticas permiten a usuarios locales no privilegiados modificar cualquier archivo en el sistema o ejecutar su código con derechos de root. Las vulnerabilidades se han solucionado en las versiones LXD 6.9, 5.21.8, 5.0.10 y 4.0.14, así como en Incus 7.5.1. Los problemas son causados por un manejo incorrecto de las rutas de archivos, problemas al trabajar con enlaces simbólicos y la falta de validación de la entrada en el código para la migración y copia de seguridad de entornos aislados o la carga de imágenes del sistema:
- CVE-2026-85526 — sobrescritura de archivos arbitrarios en el sistema al procesar una copia de seguridad que contiene en subvolumes[].path una ruta de punto de montaje como «..\/..\/..\/..\/etc\/cron.d».
- CVE-2026-85185 — escritura y eliminación de archivos arbitrarios al indicar en los nombres de los subvolúmenes btrfs rutas con «..\/».
- CVE-2026-87799 — escritura en un archivo arbitrario en el sistema a través de la sustitución de enlaces simbólicos durante la migración. máquinas virtuales.
- CVE-2026-87798 — salida del directorio base de la máquina virtual durante la transferencia recursiva de archivos.
- CVE-2026-86334 — salida del directorio base al exportar una imagen desde el exterior. servidores.
- CVE-2026-86335 — acceso a imágenes privadas de máquinas virtuales de otros usuarios.
- CVE-2026-97335 — elusión de las restricciones de acceso a proyectos.
- Vulnerabilidades en el sistema de paquetes autosuficientes Flatpak. Los problemas se han solucionado en la versión Flatpak 1.18.1. Entre las vulnerabilidades más peligrosas se encuentran:
- CVE-2026-90616 — uso de enlaces simbólicos para eludir la aislación de sandbox y obtener acceso completo al sistema de archivos del host;
- Elevación de privilegios al usuario root mediante la sustitución de un enlace simbólico (CVE no asignado);
- CVE-2026-9627 — escritura de archivos con derechos de root mediante manipulaciones de rutas de archivos;
- CVE-2026-96275 — escritura de archivos con derechos de root mediante manipulaciones de enlaces simbólicos;
- CVE-2026-96276 — escritura de archivos con derechos de root mediante la sustitución de «..\/» en las rutas de archivos al ejecutar el comando «flatpak build-init»;
- CVE-2026-96279 — lectura de archivos arbitrarios en el sistema principal mediante la creación de un enlace duro al extraer un archivo OCI.
- CVE-2026-92162 — acceso a archivos fuera del directorio base mediante la sustitución de «..\/» en los parámetros DeployAppstream.
- CVE-2026-96280 — desbordamiento de búfer en el manejador de actualizaciones diferenciales OCI en sistemas de 32 bits.
- Dos vulnerabilidades críticas en la plataforma de desarrollo colaborativo GitLab que permiten a un usuario autenticado remoto ejecutar su código en servidor a través de la inyección de una expresión regular especialmente formateada en la configuración de CI/CD. Las vulnerabilidades están presentes en el analizador de expresiones regulares y son causadas por la doble liberación de memoria (CVE-2026-89078) y desbordamiento de enteros (CVE-2026-93577). Los problemas se han resuelto en las versiones 19.4.1, 19.3.3, 19.2.7.
- Dos vulnerabilidades críticas en el protocolo de red utilizado en los nodos de la plataforma de desarrollo colaborativo descentralizado Radicle. La primera vulnerabilidad permite ver los datos que los nodos intercambian a través de la monitorización del tráfico. La segunda vulnerabilidad permite falsificar la identificación del nodo y acceder a repositorios privados. En combinación, las vulnerabilidades permiten extraer el contenido de cualquier repositorio desde los nodos de Radicle.
- Una vulnerabilidad en el núcleo de Linux, provocada por el acceso a memoria ya liberada (use-after-free) debido a una condición de carrera en el módulo espintcp, utilizado para encapsular el protocolo ESP (Encapsulating Security Payload) en TCP (ESP-in-TCP, RFC 8229). El problema fue resuelto en el núcleo en febrero antes del lanzamiento de la versión 7.0. Hace unos días, se creó un exploit funcional para la vulnerabilidad que permite ejecutar código con privilegios de root en el sistema. El funcionamiento del exploit se demostró en CentOS Stream 9 y Ubuntu 26.04 LTS.
- Una vulnerabilidad crítica (CVE-2026-87902) en el sistema de gestión de contenidos WordPress, que permite a un visitante no autenticado del sitio ejecutar código PHP en el servidor mediante la manipulación de las plantillas de página, si hay un archivo pearcmd.php en el servidor (disponible en la imagen oficial de Docker y en la configuración predeterminada de cPanel). El problema también se presenta en el fork ClassicPress. La vulnerabilidad está siendo explotada activamente por atacantes para tomar el control de los sitios. Se ha lanzado una corrección para 25 ramas de WordPress, desde la 7.1.2 hasta la 4.7.37.
- Siete vulnerabilidades en OpenVPN, entre ellas problemas causados por la doble liberación de memoria (CVE-2026-84471), la malformación de caracteres especiales al ejecutar el intérprete de comandos (CVE-2026-84256) y un desbordamiento de búfer de un byte al analizar opciones DHCP (CVE-2026-81738). Los problemas se han resuelto en la versión OpenVPN 2.6.23.
- Ocho vulnerabilidades en el paquete NTFS-3G, que potencialmente permiten la ejecución de código con privilegios de root al procesar particiones o imágenes de disco diseñadas de forma específica con el sistema de archivos NTFS. Todas las vulnerabilidades son causadas por desbordamientos de búfer. Los problemas se han resuelto en la versión NTFS-3G 2026.9.18.
- Vulnerabilidad en FreeRDP, que permite establecer una conexión RDP con el servidor sin autenticación. El problema se ha solucionado en la versión FreeRDP 3.31.0.
- Vulnerabilidad (CVE-2026-87766) en la herramienta para organizar entornos aislados Bubblewrap, que permite escribir archivos fuera del entorno sandbox al configurar un contenedor mediante manipulaciones con enlaces simbólicos.
- Se ha publicado un exploit para la vulnerabilidad en el servidor de impresión CUPS, que permite a un usuario local obtener privilegios de root en el sistema a través de la sobrescritura del archivo /etc/cups/cups-files.conf (especificando este archivo como URI de la impresora) y reemplazando la llamada a cups-exec. La actualización de CUPS aún no se ha lanzado.
- Acceso a memoria ya liberada (CVE-2026-42007) en el servidor IMAP Dovecot, que permite a un usuario autenticado lograr la ejecución de su código en el servidor mediante el uso de un script Sieve diseñado de forma específica. La vulnerabilidad se ha corregido en la versión Dovecot 2.4.5.
Fuente: opennet.ru
